Conditions générales

Société : Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Pays-Bas

Chambre de commerce (KvK) : 92122167

Site internet : www.carsu.com

Société du groupe : Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Italie ; REA TO-1365449 ; P.IVA / C.F. 13468500015 ; PEC carsu.italia@pec.it (filiale détenue à 100 % par Carsu B.V.)

Dernière mise à jour : 8 septembre 2026

Entrée en vigueur : 8 septembre 2026

1. Introduction

Les présentes conditions générales (les « Conditions ») régissent votre accès à la plateforme de logiciel en tant que service (« SaaS ») exploitée par Carsu B.V. (« Carsu », la « Société », « nous », « notre » ou « nos »), accessible à l'adresse https://www.carsu.com et par l'intermédiaire de nos applications mobiles (la « Plateforme »), ainsi que votre utilisation de celle-ci.

En créant un compte ou en utilisant notre Plateforme, vous acceptez d'être lié par les présentes Conditions, par notre politique de confidentialité (disponible à l'adresse https://www.carsu.com/privacy), par notre politique relative aux cookies (disponible à l'adresse https://www.carsu.com/cookie-policy) et par tout bon de commande ou contrat d'abonnement applicable. Si vous n'acceptez pas ces documents, n'utilisez pas nos services.

Entité contractante. Votre partie contractante au titre des présentes Conditions est Carsu B.V., sauf si votre bon de commande, votre confirmation d'abonnement ou votre facture désigne Carsu Italia S.r.l. (Via Fabro 8, 10122 Torino, Italie ; REA TO-1365449 ; P.IVA 13468500015), filiale détenue à 100 % par Carsu B.V., comme entité contractante. Dans ce cas, « Carsu », « nous », « notre » et « nos » désignent Carsu Italia S.r.l. aux fins de votre Abonnement, de la facturation, de l'accord de traitement des données figurant à l'annexe A et de toute réclamation au titre des présentes Conditions. Carsu B.V. et Carsu Italia S.r.l. peuvent chacune exécuter des obligations découlant des présentes Conditions pour le compte de l'autre (y compris le développement, l'hébergement, le support et la gestion de la relation client) ; votre partie contractante demeure responsable de l'exécution à votre égard. Les présentes Conditions s'appliquent également à toute autre filiale, société affiliée ou société du groupe de Carsu B.V. qui fournit des services sous la marque Carsu.

2. Définitions

3. Services fournis

Carsu fournit une plateforme SaaS complète conçue pour le marché de l'après-vente automobile, comprenant :

• Gestion d'atelier : gestion de la relation client (CRM), planification, facturation et suivi de l'historique d'entretien, y compris les photographies des véhicules et des travaux réalisés.
• Application mobile : une application compagnon pour iOS et Android destinée au personnel des ateliers, telle que décrite à l'article 5.5.
• Services de communication : messagerie intégrée via WhatsApp Business, SMS et Viber, permettant aux Utilisateurs de communiquer avec leurs Consommateurs finaux.
• Réservation en ligne : un module de réservation intégrable permettant aux Consommateurs finaux de demander un rendez-vous depuis le site internet de l'Utilisateur.
• Informations sur les véhicules et les pièces : accès aux données véhicules, aux catalogues de pièces et aux informations relatives aux procédures de réparation.
• Stocks et dépôt : stocks de pièces et relevés des Biens en dépôt conservés par l'Utilisateur pour ses Consommateurs finaux (hôtel à pneus), tels que décrits à l'article 5.6.
• Facturation et déclarations fiscales : génération de factures et, lorsque cette fonction est activée pour le pays de l'Utilisateur, transmission des données de facturation à l'administration fiscale compétente, telle que décrite à l'article 7.6.
• Traitement des paiements : traitement des paiements intégré via Stripe.
• Intégrations tierces : synchronisation facultative des données de rendez-vous avec des services d'agenda externes (tels que Google Calendar), à votre initiative, telle que décrite à l'article 5.4.
• Support client : services d'assistance comprenant des fonctionnalités assistées par IA telles que la traduction automatique des messages.

4. Création de compte et sécurité

4.1 Enregistrement

Pour accéder à la Plateforme, vous devez créer un Compte. Vous vous engagez à fournir des informations exactes, à jour et complètes lors de l'enregistrement et à les tenir à jour.

4.2 Sécurité du compte

Vous êtes responsable de la confidentialité de vos identifiants de connexion et de l'ensemble des activités réalisées depuis votre Compte. Vous devez nous informer immédiatement à hello@carsu.com si vous avez connaissance d'une utilisation non autorisée de votre Compte.

4.3 Conditions d'éligibilité

La Plateforme est destinée à un usage professionnel (B2B). En créant un compte, vous déclarez être habilité à agir pour le compte de l'entité commerciale que vous enregistrez et disposer de la capacité juridique de conclure les présentes Conditions.

4.4 Membres et rôles

Un Utilisateur peut ajouter des Membres à son Compte et leur attribuer des rôles. L'Utilisateur est responsable des actes et omissions de ses Membres, du maintien à jour des accès des Membres (y compris de la suppression des Membres qui quittent l'entreprise) et de ce que chaque Membre ait connaissance des présentes Conditions et de la politique de confidentialité. L'accès aux données et aux fonctionnalités est déterminé par le rôle attribué ; Carsu applique les rôles côté serveur.

4.5 Suppression du compte d'un Membre

Un Membre peut supprimer lui-même son identifiant de connexion depuis la Plateforme (web ou Application mobile). Lors de la suppression, l'identifiant est désactivé immédiatement, le Membre est déconnecté partout et n'apparaît plus dans le Compte ; si le Membre se reconnecte dans les 12 mois, l'identifiant est rétabli, à défaut de quoi il est définitivement supprimé, comme décrit aux §8 et §11 de la politique de confidentialité. La suppression de l'identifiant d'un Membre n'entraîne pas la suppression des données professionnelles de l'Utilisateur, des données de Consommateurs finaux, des factures, des enregistrements de paiement ni des écritures d'audit, qui demeurent rattachés au Compte. Les Membres titulaires d'un rôle de propriétaire ou d'administrateur doivent d'abord transférer ce rôle à un autre Membre, un Compte devant à tout moment compter une personne en mesure de gérer la facturation, les Membres et l'Abonnement. La suppression d'un identifiant de connexion ne vaut pas résiliation de l'Abonnement (voir l'article 13.2).

5. Utilisation de la Plateforme et des services de communication

5.1 Intégration de messagerie

Notre Plateforme s'intègre à WhatsApp Business, à des passerelles SMS et à Viber. Les Utilisateurs doivent respecter les conditions et politiques des tiers applicables à chaque canal de communication utilisé. Carsu n'est pas responsable des modifications des politiques ou de la disponibilité des plateformes tierces.

5.2 Tarifs de messagerie

Les tarifs d'envoi des messages sont variables et dépendent de la destination, du type de message et de votre formule d'Abonnement. Les tarifs en vigueur sont consultables dans la section Réglages du tableau de bord de votre Compte. Carsu se réserve le droit d'ajuster les tarifs de messagerie moyennant un préavis de 14 jours communiqué via le tableau de bord de votre Compte ou par courriel.

5.3 Consentement et conformité

Carsu met à disposition des outils et des recommandations destinés à aider les Utilisateurs à obtenir et à gérer le consentement aux communications avec les Consommateurs finaux, dans le respect de la directive vie privée et communications électroniques et du droit national applicable. Toutefois, en sa qualité de responsable du traitement des données des Consommateurs finaux, l'Utilisateur est seul responsable de s'assurer que :

• un consentement valable est obtenu avant l'envoi de messages commerciaux ;
• les messages respectent la législation applicable en matière de lutte contre le spam et de communications électroniques ;
• les demandes d'opposition des Consommateurs finaux sont honorées sans délai.

Enregistrements de consentement et attestations. La Plateforme vous permet d'enregistrer le consentement des Consommateurs finaux, individuellement ou, pour les Consommateurs finaux importés dans la Plateforme, de manière groupée. Chaque enregistrement de consentement que vous saisissez (y compris toute attestation groupée) constitue votre déclaration et garantie que le consentement concerné a été valablement obtenu pour les finalités enregistrées et que vous êtes en mesure d'en apporter la preuve sur demande. Carsu se fonde sur ces enregistrements pour l'exploitation des fonctions de messagerie et de campagne de la Plateforme et ne les vérifie pas de manière indépendante.

Primauté de l'opposition et liste de suppression. Les demandes d'opposition des Consommateurs finaux sont appliquées au niveau de la Plateforme. Un Consommateur final qui s'est opposé est inscrit sur une liste de suppression qui ne peut être remise en cause par aucune confirmation de consentement, individuelle ou groupée ; le consentement commercial de ce Consommateur final ne peut être rétabli que par une démarche du Consommateur final lui-même. Les Consommateurs finaux pour lesquels aucun consentement commercial n'est enregistré sont exclus par défaut des campagnes commerciales.

Suspension de campagne. Carsu peut suspendre ou restreindre les fonctionnalités de campagne et de messagerie commerciale d'un Compte en cas d'indices d'abus (notamment des taux d'opposition, de blocage ou de plainte anormalement élevés) ou lorsque cela est raisonnablement nécessaire pour préserver l'intégrité des intégrations de Carsu avec les canaux de messagerie, dans l'attente d'une enquête.

5.4 Intégrations tierces

La Plateforme propose des Intégrations tierces facultatives, dont la synchronisation avec Google Calendar.

• Autorisation. L'utilisation de toute Intégration tierce relève de votre seule initiative et suppose que vous autorisiez la connexion au moyen du processus d'authentification du tiers (par exemple Google OAuth). Vous autorisez Carsu à accéder aux données du service connecté, à les transmettre et à les traiter strictement aux fins décrites dans notre politique de confidentialité.
• Portée. L'intégration Google Calendar utilise la portée calendar.events.readonly. Carsu importe les événements d'agenda aux seules fins de leur affichage sur la page agenda de Carsu ; Carsu n'écrit, ne modifie et ne supprime pas d'événements dans votre Google Calendar.
• Usage limité. L'utilisation par Carsu des données reçues des API Google est conforme à la Google API Services User Data Policy, y compris à ses exigences d'usage limité (Limited Use). Nous n'utilisons pas les données issues des API Google à des fins publicitaires, nous ne les vendons pas et nous ne les utilisons pas pour entraîner des modèles d'IA ou d'apprentissage automatique. Voir le §5a de la politique de confidentialité pour la déclaration complète.
• Révocation. Vous pouvez révoquer votre autorisation à tout moment depuis les paramètres de votre Compte Carsu ou directement via les commandes de compte du fournisseur tiers (pour Google : myaccount.google.com/permissions). Carsu cessera immédiatement tout accès et supprimera les données mises en cache conformément au calendrier de conservation figurant dans la politique de confidentialité.
• Conditions des tiers. Votre utilisation de toute Intégration tierce est également soumise aux conditions et politiques du fournisseur tiers. Carsu n'est pas responsable des modifications, de la suspension ou de l'arrêt des API tierces, ni des coûts ou limitations imposés par le fournisseur tiers.
• Absence de responsabilité pour les défaillances de tiers. Les interruptions, erreurs, latences ou indisponibilités de données imputables au fournisseur tiers sont exclues des engagements de niveau de service de Carsu au titre de l'article 8.

5.5 Application mobile

• Licence et distribution. L'Application mobile vous est concédée sous licence et non vendue, conformément à l'article 10.1, et est distribuée par l'intermédiaire des App Stores. Votre téléchargement et votre utilisation de l'Application mobile sont également soumis aux conditions de l'App Store. Lorsque les conditions de l'exploitant de l'App Store l'exigent (y compris les conditions minimales du Licensed Application End User Licence Agreement d'Apple), ces conditions s'appliquent en complément des présentes Conditions, et l'exploitant de l'App Store est tiers bénéficiaire du présent article 5.5, avec le droit de l'opposer à vous. L'exploitant de l'App Store n'a aucune obligation d'assurer la maintenance ou le support de l'Application mobile et n'est responsable d'aucune réclamation s'y rapportant.
• Autorisations de l'appareil. L'Application mobile demande l'accès à l'appareil photo, à la photothèque et aux notifications uniquement lors de votre première utilisation d'une fonctionnalité qui le requiert. Vous pouvez refuser ou retirer ultérieurement chaque autorisation dans les réglages de votre appareil ; la fonctionnalité correspondante deviendra alors indisponible. L'Application mobile n'accède ni à votre localisation, ni à vos contacts, ni à votre agenda, ni à votre microphone. Les données collectées par l'Application mobile sont décrites au §5b de la politique de confidentialité.
• Photographies et autres médias. Les photographies et autres médias capturés ou téléversés via la Plateforme constituent vos données au sens de l'article 10.2. Vous êtes responsable de ce que vous photographiez, de la détention des autorisations nécessaires pour le photographier (y compris lorsqu'une personne est visible) et de l'information de vos Consommateurs finaux, dans votre propre politique de confidentialité, sur le fait que des photographies de leur véhicule et des travaux réalisés peuvent être prises et conservées.
• Appareils partagés. Lorsqu'un appareil est partagé entre plusieurs Membres, chaque Membre doit se déconnecter à l'issue de son utilisation. La déconnexion efface les données mises en cache et interrompt les notifications de ce Membre sur cet appareil.
• Mises à jour et compatibilité. Carsu peut publier des mises à jour et exiger que vous installiez une mise à jour pour continuer à utiliser l'Application mobile. Carsu prend en charge la version majeure courante et la version majeure immédiatement antérieure d'iOS et d'Android ; les versions plus anciennes peuvent cesser de fonctionner sans préavis.
• Dépendances aux App Stores et aux notifications push. La disponibilité de l'Application mobile dépend des App Stores, et l'acheminement des notifications push dépend des services de notification d'Apple et de Google. Le retrait, le report ou le rejet de l'Application mobile par l'exploitant d'un App Store, ainsi que les interruptions des services de notification, sont exclus des engagements de niveau de service de Carsu au titre de l'article 8.
• Conformité en matière d'exportation. Vous déclarez ne pas être situé dans un pays faisant l'objet d'un embargo de l'Union européenne ou des États-Unis, ne pas utiliser l'Application mobile depuis un tel pays, et ne figurer sur aucune liste européenne ou américaine de parties sous restriction.

5.6 Biens en dépôt (hôtel à pneus)

La Plateforme vous permet d'enregistrer les Biens en dépôt que vous conservez pour vos Consommateurs finaux, y compris la prise en charge, l'emplacement, la restitution et l'élimination. S'agissant des Biens en dépôt :

• Votre garde, votre contrat. La relation de dépôt existe exclusivement entre vous et le Consommateur final. Carsu n'assume pas la garde des Biens en dépôt, ne les assure pas et n'accepte aucune responsabilité à leur égard. Vous êtes responsable des conditions de dépôt que vous convenez avec le Consommateur final, y compris des frais, de la durée et du sort des biens non retirés.
• Élimination des biens non retirés. Lorsque vous enregistrez qu'un Bien en dépôt n'a pas été retiré, la Plateforme vous aide à documenter vos tentatives de contact et vos conditions de dépôt avant toute élimination ou tout changement de propriété. Carsu ne décide ni si ni quand vous pouvez éliminer, vendre ou convertir un Bien en dépôt ; cette décision, ainsi que sa conformité au droit applicable (y compris les obligations en matière de protection des consommateurs, de déchets et, le cas échéant, les obligations RENTRI), vous incombe.
• Étiquettes et identification. Les étiquettes générées par la Plateforme identifient les Biens en dépôt par une simple référence de dépôt et ne constituent pas une preuve de propriété.
• Demandes d'effacement. Lorsqu'un Consommateur final demande l'effacement de ses données alors que vous détenez encore ses Biens en dépôt, vous pouvez conserver l'enregistrement minimal reliant les biens à ce Consommateur final jusqu'à leur restitution ou à leur élimination licite ; Carsu vous assistera dans l'anonymisation du reste (annexe A, §A9).

6. Crédits prépayés et utilisation

6.1 Modèle de crédits prépayés

Carsu fonctionne sur la base de crédits prépayés pour les services de communication. Les Crédits doivent être achetés à l'avance pour pouvoir utiliser les fonctionnalités de messagerie.

6.2 Comptes sans abonnement

Carsu ne propose plus de formule d'Abonnement gratuite. Un Compte sans abonnement (un Compte dépourvu d'Abonnement payant actif, y compris un Compte dont l'Abonnement a pris fin) peut continuer à utiliser la Plateforme uniquement sur la base de crédits prépayés, dans les limites d'utilisation publiées dans les Réglages de votre Compte et sans accès aux fonctionnalités des formules payantes. Les messages envoyés depuis un Compte sans abonnement sont facturés au tarif de messagerie de la formule Basic. Les Crédits achetés détenus par un Compte sans abonnement sont valables douze (12) mois à compter de la date d'achat ou, lorsque les Crédits ont été achetés pendant un Abonnement payant, à compter de la date de fin de cet Abonnement. Les Crédits non utilisés expirent automatiquement à l'issue de cette période, sans remboursement.

6.3 Validité des crédits - formules payantes

Pour les Utilisateurs relevant de la formule Basic ou de toute autre formule d'Abonnement payante, les Crédits achetés n'expirent pas tant que l'Abonnement demeure actif et en règle. Si un Abonnement payant prend fin (pour quelque raison que ce soit), le Compte devient un Compte sans abonnement et les Crédits restants sont soumis à l'article 6.2.

6.4 Crédits d'essai

Carsu peut accorder aux nouveaux Utilisateurs des Crédits d'essai gratuits à des fins de test. Les Crédits d'essai :

• expirent automatiquement trois (3) mois après leur attribution ;
• peuvent être révoqués à tout moment si nous soupçonnons un usage abusif ou une violation de notre politique d'utilisation acceptable (article 11) ;
• n'ont aucune valeur monétaire et ne sont pas transférables.

7. Tarifs, paiement et facturation

7.1 Tarification

La tarification en vigueur des Crédits et des formules d'Abonnement est disponible sur notre site internet et dans les Réglages de votre Compte. Tous les tarifs s'entendent hors taxes applicables, sauf mention contraire.

7.2 Traitement des paiements

Les paiements sont traités par Stripe. En effectuant un achat, vous acceptez les conditions de service de Stripe. Carsu ne conserve pas vos données de carte bancaire.

7.3 Facturation et TVA

Les factures sont émises au moment de l'achat de Crédits ou du paiement de l'Abonnement.

• Clients néerlandais (B2B) facturés par Carsu B.V. : la TVA néerlandaise de 21 % s'applique.
• Clients italiens (B2B) facturés par Carsu Italia S.r.l. : l'IVA italienne de 22 % s'applique. Les factures sont émises sous forme de factures électroniques (fattura elettronica) via le Sistema di Interscambio ; vous devez fournir votre Partita IVA ainsi que votre Codice Destinatario ou votre adresse PEC.
• Autres clients de l'Union européenne (B2B) : le mécanisme d'autoliquidation de la TVA s'applique. Les factures comportent la mention « TVA autoliquidée ». Vous devez fournir un numéro de TVA intracommunautaire valide.
• Clients du Royaume-Uni (B2B) : taux zéro de TVA lorsqu'un numéro de TVA britannique valide est fourni.
• Clients hors Union européenne et hors Royaume-Uni : aucune TVA n'est facturée ; les obligations fiscales locales incombent au client.

7.4 Modification des tarifs

Carsu peut ajuster la tarification des Abonnements ou les tarifs des Crédits moyennant un préavis écrit d'au moins 30 jours notifié par courriel. La poursuite de l'utilisation après la date d'effet vaut acceptation. Si vous n'acceptez pas une modification tarifaire, vous pouvez résilier votre Abonnement avant l'entrée en vigueur de la nouvelle tarification.

7.5 Politique de remboursement

Tous les achats de Crédits et les frais d'Abonnement sont non remboursables, sauf en cas de manquement substantiel de Carsu à ses obligations de service au titre des présentes Conditions ou lorsque le droit applicable en dispose autrement.

7.6 Factures que vous émettez et déclarations fiscales

La Plateforme vous permet d'émettre des factures, des reçus et des documents connexes à destination de vos Consommateurs finaux et, lorsque votre pays impose la facturation électronique ou une déclaration fiscale et que Carsu a activé cette fonction pour ce pays, transmet les données requises à l'administration fiscale compétente (par exemple Verifactu en Espagne, le Sistema di Interscambio en Italie, myDATA et la liste numérique des clients en Grèce, KSeF en Pologne), directement ou par l'intermédiaire d'un prestataire certifié.

• Vous êtes l'émetteur. Chaque facture ou document fiscal généré sur la Plateforme est émis par vous, en votre nom et sous vos identifiants fiscaux. Vous êtes responsable de l'exactitude et de l'exhaustivité des données que vous saisissez (y compris vos propres informations d'immatriculation, les taux de taxe et les identifiants de vos clients), de la correction fiscale de ce que vous facturez et du respect de vos propres obligations de déclaration, de conservation et de reporting. Carsu fournit l'outil et ne donne aucun conseil fiscal.
• Transmission. Lorsque Carsu transmet des données à une administration fiscale pour votre compte, elle le fait en qualité de sous-traitant et sur votre instruction, que vous donnez en activant la fonction et en émettant le document. Carsu vous restituera dans la Plateforme les réponses de validation, les rejets et les erreurs, et ne modifiera pas le contenu d'un document que vous avez émis. Si une transmission échoue pour un motif imputable à l'autorité, à l'intermédiaire ou aux données que vous avez fournies, il vous appartient d'achever la soumission dans le délai légal ; Carsu vous communiquera les informations dont elle dispose pour vous y aider.
• Vérification des numéros de TVA. Pour les factures professionnelles transfrontalières, Carsu vérifie le numéro de TVA du client auprès du service européen VIES et conserve la réponse à titre de preuve d'audit. Un résultat VIES constitue une preuve d'immatriculation à la date de la vérification et non une garantie de la situation fiscale de votre client.
• Disponibilité. Les systèmes des administrations fiscales et des intermédiaires constituent des dépendances tierces au sens de l'article 8.4.

8. Niveaux de service

8.1 Disponibilité de la Plateforme

Carsu déploiera des efforts commercialement raisonnables pour maintenir une disponibilité de la Plateforme d'au moins 99,5 % par mois civil, mesurée hors fenêtres de maintenance planifiée.

8.2 Maintenance planifiée

Nous informerons au moins 48 heures à l'avance de toute maintenance planifiée susceptible d'affecter la disponibilité, sauf en cas de correctifs de sécurité urgents, pour lesquels un préavis plus court peut être nécessaire.

8.3 Compensations

Si la disponibilité de la Plateforme est inférieure à 99,5 % au cours d'un mois civil (hors maintenance planifiée et cas de force majeure), les Utilisateurs concernés titulaires d'un Abonnement payant peuvent demander un avoir de service au prorata de la période affectée. Les avoirs de service sont imputés sur les factures ultérieures et ne constituent pas un remboursement en numéraire. Les demandes doivent être présentées dans les 30 jours suivant le mois concerné.

8.4 Dépendances tierces

Nos services de communication, les Intégrations tierces, l'Application mobile et les déclarations fiscales dépendent de plateformes tierces (WhatsApp, Viber, passerelles SMS, prestataires d'acheminement de courriels, API Google, App Stores, services de notification d'Apple et de Google, systèmes des administrations fiscales et intermédiaires de facturation électronique certifiés, etc.). Carsu n'est pas responsable des interruptions ou limitations imposées par ces prestataires tiers. Les indisponibilités de tiers sont exclues du calcul des niveaux de service.

9. Protection des données

9.1 Politique de confidentialité et politique relative aux cookies

Carsu traite les données à caractère personnel conformément à sa politique de confidentialité, disponible à l'adresse https://www.carsu.com/fr/confidentialite. Les cookies et technologies similaires utilisés sur notre site internet sont décrits dans notre politique relative aux cookies, disponible à l'adresse https://www.carsu.com/fr/politique-cookies. En utilisant la Plateforme, vous reconnaissez avoir lu et compris ces deux documents.

9.2 Accord de traitement des données

Lorsque Carsu traite des données à caractère personnel pour votre compte (c'est-à-dire les données de Consommateurs finaux), Carsu agit en qualité de sous-traitant et vous agissez en qualité de responsable du traitement. L'accord de traitement des données (le « DPA ») figurant à l'annexe A des présentes Conditions, ou conclu séparément, régit cette relation de traitement conformément à l'article 28 du RGPD.

9.3 Vos obligations en qualité de responsable du traitement

En qualité de responsable du traitement des données de Consommateurs finaux traitées via notre Plateforme, il vous appartient :

• de vous assurer que vous disposez d'une base juridique valable pour le traitement des données de Consommateurs finaux ;
• d'obtenir les consentements requis pour les communications électroniques (conformité à la directive vie privée et communications électroniques) ;
• de répondre aux demandes d'exercice de droits des personnes concernées émanant de vos Consommateurs finaux (Carsu vous assistera sur demande) ;
• d'informer Carsu sans délai de toute demande de personne concernée nécessitant l'assistance de Carsu ;
• de tenir votre propre politique de confidentialité couvrant votre utilisation de notre Plateforme pour traiter les données de Consommateurs finaux, y compris le module de réservation présent sur votre site internet, les photographies des véhicules et des travaux réalisés, les relevés de Biens en dépôt et toute transmission de données de facturation aux administrations fiscales.

9.4 Portabilité des données et droit de changement de fournisseur

Conformément à l'article 20 du RGPD et au règlement européen sur les données (règlement (UE) 2023/2854), vous disposez d'un droit à la portabilité des données et au changement de fournisseur :

• Export en libre-service : vous pouvez exporter vos données à tout moment depuis les Réglages de votre Compte, au format CSV ou JSON.
• Demande d'export manuel : vous pouvez également demander un export complet de vos données en écrivant à legal@carsu.com. Les demandes d'export sont satisfaites dans un délai de 30 jours.
• Export après résiliation : vous pouvez demander un export de vos données dans les 12 mois suivant la résiliation de votre Abonnement.
• Suppression des données : les données seront définitivement supprimées dans les 60 jours suivant l'expiration de la fenêtre d'export de 12 mois postérieure à la résiliation, sauf si une conservation plus longue est requise par la loi.
• Assistance au changement de fournisseur : au titre du règlement européen sur les données, si vous souhaitez changer de prestataire, Carsu fournira une assistance technique raisonnable pendant une période de 30 jours à compter de l'engagement du processus de changement. Les frais de changement éventuels n'excéderont pas le coût directement supporté par Carsu pour fournir cette assistance.

Carsu n'imposera aucun obstacle contractuel, technique ou commercial entravant le changement de fournisseur ou la portabilité des données au-delà de ce qui est strictement nécessaire à des fins de sécurité et d'intégrité des données.

9.5 Données issues des Intégrations tierces

Lorsque vous autorisez Carsu à accéder aux données d'un service tiers (par exemple Google Calendar), Carsu agit en qualité de responsable du traitement de ces données, sur le fondement du consentement (art. 6, par. 1, point a, RGPD) et du contrat (art. 6, par. 1, point b, RGPD), et les traite dans le strict respect de la politique de confidentialité et des conditions d'API du fournisseur tiers. Vous conservez la propriété de l'ensemble de ces données. L'accord de traitement des données figurant à l'annexe A ne s'applique pas aux données issues d'Intégrations tierces que vous autorisez pour votre propre usage, ces données ne constituant pas des données de Consommateurs finaux traitées par Carsu pour votre compte.

10. Propriété intellectuelle

10.1 Propriété intellectuelle de Carsu

L'ensemble des contenus, logiciels, technologies, conceptions, marques et éléments présents sur notre Plateforme sont la propriété de Carsu B.V. ou de ses concédants et sont protégés par le droit de la propriété intellectuelle. Il vous est concédé une licence limitée, non exclusive, non transférable et révocable d'utilisation de la Plateforme aux fins auxquelles elle est destinée, pendant la durée de votre Abonnement.

10.2 Vos données et analyses agrégées

Vous conservez l'ensemble des droits sur les données que vous téléversez sur la Plateforme, y compris les photographies et autres médias capturés via l'Application mobile ou téléversés depuis le web. En téléversant des données, vous concédez à Carsu une licence limitée d'hébergement, de stockage, de redimensionnement, de réencodage, de transmission et d'affichage de ces données aux seules fins de la fourniture des Services, y compris leur mise à disposition des Membres de votre Compte et, lorsque vous choisissez de les envoyer, de vos Consommateurs finaux.

Carsu peut utiliser et partager des données anonymisées et agrégées (ne permettant d'identifier ni vous, ni vos Consommateurs finaux, ni des transactions individuelles) à des fins d'amélioration du service, d'analyse sectorielle, d'études de marché, de recherche et d'innovation. Ces données sont agrégées à un niveau garantissant qu'aucun atelier, consommateur final ni transaction ne puisse être identifié individuellement.

Les données étant irréversiblement anonymisées avant toute utilisation ou tout partage externe, elles se situent hors du champ d'application du RGPD (considérant 26). Les destinataires des analyses agrégées sont liés par des stipulations écrites interdisant la réidentification. Pour le détail complet, voir l'article 7.4 de notre politique de confidentialité.

Les données obtenues via les API Google sont exclues de cette utilisation à des fins d'analyses agrégées, conformément aux engagements d'usage limité décrits dans la politique de confidentialité (§5a).

11. Politique d'utilisation acceptable

Vous vous engagez à ne pas utiliser la Plateforme pour :

• envoyer des messages commerciaux non sollicités (spam) ou des messages sans consentement valable du destinataire ;
• transmettre des contenus illicites, diffamatoires, menaçants, harcelants ou discriminatoires ;
• diffuser des logiciels malveillants, des virus ou tout autre code nuisible ;
• tenter d'accéder sans autorisation à la Plateforme, à d'autres comptes ou à des systèmes connectés ;
• procéder à de l'ingénierie inverse, décompiler ou désassembler tout élément de la Plateforme ;
• utiliser la Plateforme à toute fin contraire au droit applicable, y compris la réglementation relative à la protection des données et à la lutte contre le spam ;
• usurper l'identité d'une personne ou d'une entité, ou présenter de manière trompeuse votre affiliation ;
• contourner les limites d'utilisation, les limitations de débit ou d'autres restrictions techniques.

Carsu se réserve le droit de suspendre ou de résilier l'accès des Utilisateurs qui enfreignent la présente politique d'utilisation acceptable, conformément à l'article 13.

12. Garantie d'indemnisation

Vous acceptez d'indemniser et de garantir Carsu, ses dirigeants, administrateurs, salariés et mandataires contre toute réclamation, tout dommage, toute perte, toute responsabilité et tous frais (y compris les frais juridiques raisonnables) découlant :

• de votre violation des présentes Conditions ou de la politique d'utilisation acceptable ;
• de votre utilisation de la Plateforme en violation du droit applicable ;
• des messages envoyés via la Plateforme pour votre compte, y compris les réclamations de Consommateurs finaux ou de tiers relatives au consentement, au contenu ou à la conformité ;
• de tout enregistrement de consentement ou attestation que vous saisissez dans la Plateforme (individuellement ou de manière groupée) qui serait faux, inexact ou dont la preuve ne pourrait être apportée ;
• des factures et documents fiscaux que vous émettez via la Plateforme, y compris les réclamations des administrations fiscales ou de vos clients relatives à leur contenu, à leur date ou à vos informations d'immatriculation ;
• des photographies ou médias que vous capturez ou téléversez, ainsi que de tout litige avec un Consommateur final relatif aux Biens en dépôt ;
• de toute réclamation selon laquelle les données que vous avez fournies porteraient atteinte aux droits de propriété intellectuelle ou au droit à la vie privée de tiers.

13. Durée, suspension et résiliation

13.1 Durée

Votre Abonnement débute à la Date d'effet et se poursuit pendant la durée convenue (mensuelle ou annuelle, selon le cas), avec reconduction automatique sauf résiliation avant la fin de la période en cours.

13.2 Résiliation par vous

Vous pouvez résilier votre Abonnement à tout moment depuis les paramètres de votre Compte. La résiliation prend effet à la fin de la période de facturation en cours. Aucun remboursement au prorata n'est accordé pour la fraction non utilisée d'une période de facturation.

13.2a Changement de fournisseur (règlement européen sur les données)

Conformément au règlement européen sur les données, vous pouvez résilier votre Abonnement aux fins de changer de prestataire, moyennant un préavis écrit d'au moins 2 mois adressé à legal@carsu.com. Pendant la période de préavis et pendant 30 jours après la résiliation, Carsu fournira une assistance technique raisonnable pour faciliter la transition, y compris l'export des données dans des formats standard (CSV, JSON) et la documentation des structures de données. Les frais de changement éventuels seront limités aux coûts directement supportés et communiqués à l'avance.

13.3 Suspension par Carsu

Carsu peut suspendre immédiatement votre accès à la Plateforme :

• si nous estimons raisonnablement que vous enfreignez la politique d'utilisation acceptable ;
• si votre Compte est impliqué dans une activité frauduleuse suspectée ;
• si cela est nécessaire pour satisfaire à une obligation légale ou à une décision de justice ;
• si votre paiement est en retard de plus de 14 jours.

Nous vous informerons de toute suspension et de son motif dans les meilleurs délais. La suspension ne met pas fin aux présentes Conditions ; nous rétablirons l'accès dès que la difficulté sera résolue.

13.4 Résiliation pour faute par Carsu

Carsu peut résilier votre Compte et les présentes Conditions :

• si un manquement substantiel n'est pas corrigé dans les 30 jours suivant une mise en demeure écrite ;
• si vous commettez des violations répétées de la politique d'utilisation acceptable ;
• si vous devenez insolvable ou faites l'objet d'une procédure collective.

13.5 Suites de la résiliation

À la résiliation :

• tous les Crédits d'essai non utilisés sont perdus immédiatement ;
• les Crédits achetés sont soumis aux règles d'expiration de l'article 6 ;
• les identifiants de Membres supprimés au titre de l'article 4.5 suivent la fenêtre de réactivation de 12 mois prévue par cet article, indépendamment du Compte ;
• vous pouvez demander un export de vos données dans les 12 mois suivant la résiliation (voir l'article 9.4) ;
• à l'issue de la période de 12 mois suivant la résiliation, l'ensemble de vos données sera définitivement supprimé, sauf lorsque leur conservation est requise par la loi ;
• les données issues des Intégrations tierces (y compris Google Calendar) sont supprimées dans les 30 jours suivant la résiliation ou une déconnexion antérieure, conformément au calendrier de conservation de la politique de confidentialité.

14. Limitation de responsabilité

14.1 Exclusion des dommages indirects

Dans toute la mesure permise par le droit applicable, aucune des parties ne sera responsable des dommages indirects, accessoires, spéciaux, consécutifs ou punitifs, y compris, sans s'y limiter, la perte de bénéfices, de données, de clientèle ou d'activité, quel que soit le fondement de l'action ou le régime de responsabilité invoqué.

14.2 Plafond de responsabilité

La responsabilité globale totale de Carsu au titre ou en lien avec les présentes Conditions n'excédera pas le montant total des sommes que vous avez versées à Carsu au cours des douze (12) mois précédant immédiatement le fait générateur de la réclamation.

14.3 Exceptions

Aucune stipulation des présentes Conditions n'exclut ni ne limite la responsabilité :

• en cas de décès ou de dommage corporel causé par une négligence ;
• en cas de fraude ou de manœuvre dolosive ;
• pour toute responsabilité qui ne peut être exclue ou limitée en vertu du droit applicable, y compris les obligations découlant du RGPD.

15. Force majeure

Aucune des parties ne sera responsable d'un manquement ou d'un retard dans l'exécution de ses obligations au titre des présentes Conditions lorsque ce manquement ou ce retard résulte d'événements échappant à son contrôle raisonnable, y compris, sans s'y limiter : catastrophes naturelles, pandémies, actes des pouvoirs publics, guerre, terrorisme, coupures d'électricité, interruptions d'internet, défaillances de plateformes tierces (WhatsApp, Viber, passerelles SMS, Stripe, API Google, App Stores, services de notification d'Apple et de Google, systèmes des administrations fiscales et intermédiaires de facturation électronique) et cyberattaques.

La partie affectée doit en informer l'autre partie sans délai et déployer des efforts raisonnables pour en atténuer les effets. Si un cas de force majeure se poursuit pendant plus de 60 jours, chaque partie peut résilier les Services affectés par notification écrite.

16. Garanties et exclusions

16.1 Garanties de Carsu

Carsu garantit que :

• la Plateforme fonctionnera pour l'essentiel conformément à sa documentation ;
• les Services seront fournis avec une compétence et un soin raisonnables ;
• Carsu respectera le droit applicable en matière de protection des données dans son rôle de responsable du traitement ou de sous-traitant.

16.2 Sécurité et divulgation des vulnérabilités

Carsu maintient une politique de divulgation responsable des vulnérabilités conforme au règlement sur la cyberrésilience et aux meilleures pratiques du secteur. Les chercheurs en sécurité et les Utilisateurs peuvent signaler des vulnérabilités via notre fichier security.txt à l'adresse https://www.carsu.com/.well-known/security.txt ou en écrivant à security@carsu.com. Carsu s'engage à accuser réception des signalements dans un délai de 5 jours ouvrés et à communiquer un calendrier de résolution dans un délai de 30 jours.

16.3 Exclusion de garantie

Sauf stipulation expresse des présentes Conditions, la Plateforme est fournie « en l'état » et « selon disponibilité ». Carsu ne consent aucune autre garantie, expresse ou implicite, y compris les garanties de qualité marchande, d'adéquation à un usage particulier ou d'absence de contrefaçon. Carsu ne garantit pas que la Plateforme sera exempte d'interruptions ou d'erreurs, ni que tous les défauts seront corrigés.

17. Droit applicable et règlement des litiges

17.1 Droit applicable

Les présentes Conditions sont régies par le droit néerlandais et interprétées conformément à celui-ci, à l'exclusion des règles de conflit de lois.

17.2 Règlement des litiges

Les parties s'efforceront d'abord de résoudre tout litige par une négociation de bonne foi pendant une période de 30 jours. À défaut de résolution, les litiges seront soumis à la compétence exclusive des tribunaux compétents d'Amsterdam, aux Pays-Bas.

17.3 Réclamations auprès des autorités

Aucune stipulation des présentes Conditions ne vous empêche d'exercer vos droits au titre du RGPD ni d'introduire une réclamation auprès de l'autorité de contrôle compétente (voir notre politique de confidentialité pour plus de détails).

18. Stipulations générales

18.1 Intégralité de l'accord

Les présentes Conditions, ensemble avec la politique de confidentialité, la politique relative aux cookies et tout bon de commande ou DPA applicable, constituent l'intégralité de l'accord entre vous et Carsu concernant l'utilisation de la Plateforme. Elles remplacent l'ensemble des accords, déclarations et ententes antérieurs.

18.2 Divisibilité

Si une stipulation des présentes Conditions est jugée invalide ou inapplicable, les stipulations restantes conserveront leur plein effet. La stipulation invalide sera modifiée dans la mesure minimale nécessaire pour la rendre valide et applicable.

18.3 Cession

Vous ne pouvez céder ni transférer les présentes Conditions sans l'accord écrit préalable de Carsu. Carsu peut céder les présentes Conditions dans le cadre d'une fusion, d'une acquisition, d'une réorganisation ou d'une cession de la quasi-totalité de ses actifs, sous réserve que le cessionnaire accepte d'être lié par les présentes Conditions.

18.4 Renonciation

L'absence d'exercice ou le retard dans l'exercice d'un droit au titre des présentes Conditions par l'une des parties ne vaut pas renonciation à ce droit.

18.5 Notifications

Les notifications adressées à Carsu doivent être envoyées à legal@carsu.com ou par courrier postal à notre siège social. Les notifications qui vous sont adressées seront envoyées à l'adresse électronique associée à votre Compte. Les notifications sont réputées reçues à leur remise (courriel) ou 5 jours ouvrés après leur envoi (courrier postal).

18.6 Modifications

Carsu peut modifier les présentes Conditions moyennant un préavis écrit d'au moins 30 jours notifié par courriel ou par notification dans la Plateforme. Les modifications substantielles seront mises en évidence. La poursuite de l'utilisation après la date d'effet vaut acceptation. Si vous n'acceptez pas une modification, vous pouvez résilier votre Abonnement avant son entrée en vigueur.

19. Nous contacter

Demandes juridiques : legal@carsu.com

Demandes générales : hello@carsu.com

Délégué à la protection des données : privacy@carsu.com

Questions de sécurité : security@carsu.com

Adresse postale : Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Pays-Bas

En utilisant notre Plateforme, vous reconnaissez avoir lu et compris les présentes conditions générales et acceptez d'être lié par elles.

ANNEXE A

ACCORD DE TRAITEMENT DES DONNÉES

Le présent accord de traitement des données (le « DPA ») fait partie intégrante des conditions générales de Carsu (le « Contrat ») conclues entre l'entité Carsu qui est la partie contractante de l'Utilisateur au titre de l'article 1 du Contrat, à savoir Carsu B.V. ou Carsu Italia S.r.l. (le « Sous-traitant »), et l'Utilisateur (le « Responsable du traitement »), et régit le traitement des données à caractère personnel par le Sous-traitant pour le compte du Responsable du traitement dans le cadre des Services.

Le présent DPA est conclu en application de l'article 28 du règlement général sur la protection des données (UE) 2016/679 (le « RGPD ») et, le cas échéant, du règlement général britannique sur la protection des données (le « RGPD britannique »).

A1. Définitions

Les termes non définis dans le présent DPA ont le sens qui leur est donné dans le Contrat et dans le RGPD. Dans le présent DPA :

• Les « Données à caractère personnel du Responsable du traitement » désignent les données à caractère personnel que le Sous-traitant traite pour le compte du Responsable du traitement dans le cadre des Services.
• Le « droit de la protection des données » désigne le RGPD, le RGPD britannique, la directive vie privée et communications électroniques 2002/58/CE, le Codice Privacy italien (D.Lgs. 196/2003, tel que modifié), la loi néerlandaise UAVG et toute autre législation applicable en matière de protection des données.
• Le « Sous-traitant ultérieur » désigne tout tiers auquel le Sous-traitant fait appel pour traiter des Données à caractère personnel du Responsable du traitement pour le compte de ce dernier.

A2. Portée et finalité du traitement

A2.1 Objet

Le Sous-traitant traite les Données à caractère personnel du Responsable du traitement aux seules fins de la fourniture des Services au titre du Contrat, y compris la gestion d'atelier, les communications avec les clients (WhatsApp, SMS, Viber, courriel), la réservation en ligne, le stockage de photographies et d'autres médias, les relevés de Biens en dépôt, la facturation et la transmission des données de facturation aux administrations fiscales lorsque cette fonction est activée (article 7.6), le traitement des paiements et le support client.

Instruction de transmettre des données fiscales. En activant les déclarations fiscales pour son pays et en émettant un document, le Responsable du traitement donne au Sous-traitant l'instruction de transmettre les données exigées par le dispositif national applicable à l'administration fiscale compétente, directement ou par l'intermédiaire d'un prestataire de facturation électronique certifié établi dans l'Union européenne (liste disponible sur demande à privacy@carsu.com).

Exclusion - données issues des Intégrations tierces. Les données que le Responsable du traitement autorise Carsu à obtenir d'un service tiers pour son propre usage (par exemple les événements Google Calendar du personnel du Responsable du traitement) ne constituent pas des Données à caractère personnel du Responsable du traitement au sens du présent DPA. Ces données sont traitées par Carsu en qualité de responsable du traitement au titre du Contrat (article 9.5) et de la politique de confidentialité.

A2.2 Durée

Le traitement se poursuit pendant la durée du Contrat et pendant la période supplémentaire nécessaire à l'exécution des obligations postérieures à la résiliation (export et suppression des données) prévues par le Contrat.

A2.3 Catégories de personnes concernées

• Les Consommateurs finaux (clients du Responsable du traitement / de l'atelier) ;
• Les salariés et le personnel du Responsable du traitement (dans la mesure pertinente pour l'utilisation de la plateforme).

A2.4 Types de données à caractère personnel

• Coordonnées (noms, numéros de téléphone, adresses électroniques) ;
• Données relatives aux véhicules (plaques d'immatriculation, marque, modèle, type) ;
• Historiques d'entretien et de maintenance ;
• Données de rendez-vous ;
• Contenu des communications (messages envoyés via la Plateforme) ;
• Photographies et autres médias des véhicules et des travaux réalisés, ainsi que de toute personne y apparaissant incidemment ;
• Relevés de Biens en dépôt (biens conservés, emplacement de stockage, événements de prise en charge et de restitution, tentatives de contact) ;
• Données de facturation et données fiscales (noms, adresses, identifiants fiscaux, numéros d'immatriculation des véhicules) telles qu'exigées par le dispositif national applicable ;
• Identifiants de transaction de paiement (les données de carte sont traitées par Stripe et ne sont pas conservées par Carsu).

A2.5 Nature du traitement

Collecte, conservation, consultation, utilisation, transmission (messagerie), organisation, structuration et effacement des Données à caractère personnel du Responsable du traitement, dans la mesure nécessaire à la fourniture des Services.

A2.6 Données anonymisées et agrégées

Le Sous-traitant peut traiter les Données à caractère personnel du Responsable du traitement afin de produire des analyses anonymisées et agrégées destinées à être partagées avec des tiers. Un tel traitement n'intervient qu'après anonymisation irréversible et agrégation à un niveau garantissant qu'aucun atelier, consommateur final ni transaction ne puisse être identifié ou reconstitué à partir du résultat.

Une fois irréversiblement anonymisées, les données obtenues se situent hors du champ d'application du RGPD (considérant 26) et du présent DPA. Ce traitement repose sur l'intérêt légitime du Sous-traitant (art. 6, par. 1, point f, RGPD) et n'étend ni ne modifie les finalités de fourniture du service énumérées au A2.1, mais constitue un usage distinct des données sous-jacentes après anonymisation. Les destinataires sont liés par des stipulations écrites interdisant la réidentification.

A3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• traiter les Données à caractère personnel du Responsable du traitement uniquement sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel hors de l'EEE ou du Royaume-Uni, sauf s'il y est tenu par le droit de l'Union ou le droit d'un État membre (auquel cas le Sous-traitant informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf interdiction légale) ;
• veiller à ce que les personnes autorisées à traiter les Données à caractère personnel du Responsable du traitement s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, y compris, selon les besoins : la pseudonymisation et le chiffrement des données à caractère personnel, la capacité à garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes de traitement, la capacité à rétablir l'accès aux données à caractère personnel dans des délais appropriés à la suite d'un incident, ainsi qu'une procédure de test et d'évaluation réguliers de l'efficacité de ces mesures ;
• respecter les conditions de recours à des Sous-traitants ultérieurs énoncées à l'article A5 ;
• compte tenu de la nature du traitement, aider le Responsable du traitement, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes des personnes concernées ;
• aider le Responsable du traitement à garantir le respect des obligations de notification des violations de données (articles 33 et 34 du RGPD), des analyses d'impact relatives à la protection des données (article 35 du RGPD) et de la consultation préalable des autorités de contrôle (article 36 du RGPD), compte tenu de la nature du traitement et des informations à la disposition du Sous-traitant ;
• au choix du Responsable du traitement, supprimer ou lui restituer l'ensemble des Données à caractère personnel du Responsable du traitement au terme de la fourniture des Services, et détruire les copies existantes, sauf si le droit de l'Union ou le droit d'un État membre exige leur conservation ;
• mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect du présent DPA, et permettre la réalisation d'audits, y compris d'inspections, par le Responsable du traitement ou un auditeur qu'il a mandaté, et contribuer à ces audits.

A4. Obligations du Responsable du traitement

Le Responsable du traitement s'engage à :

• s'assurer qu'il dispose d'une base juridique valable, au titre du droit de la protection des données, pour le traitement des Données à caractère personnel du Responsable du traitement, y compris l'obtention de tous les consentements nécessaires des personnes concernées lorsque cela est requis ;
• fournir au Sous-traitant des instructions de traitement documentées ;
• répondre de l'exactitude, de la qualité et de la licéité des Données à caractère personnel du Responsable du traitement transmises au Sous-traitant ;
• respecter ses obligations au titre du droit de la protection des données, y compris tenir sa propre politique de confidentialité, répondre aux demandes des personnes concernées (avec l'assistance du Sous-traitant) et notifier les violations de données aux autorités de contrôle lorsque cela est requis ;
• veiller à ce que les messages envoyés aux Consommateurs finaux via la Plateforme respectent la directive vie privée et communications électroniques ainsi que le droit national applicable aux communications électroniques, y compris l'obtention d'un consentement valable pour les messages commerciaux.
• répondre de l'exactitude des enregistrements de consentement et des attestations saisis dans la Plateforme (individuellement ou de manière groupée) ; ces enregistrements constituent des instructions documentées données au Sous-traitant de traiter les personnes concernées visées comme ayant consenti aux finalités enregistrées.

A5. Sous-traitants ultérieurs

A5.1 Autorisation générale

Le Responsable du traitement accorde au Sous-traitant une autorisation écrite générale de faire appel à des Sous-traitants ultérieurs pour le traitement des Données à caractère personnel du Responsable du traitement, sous réserve des conditions énoncées au présent article A5.

A5.2 Sous-traitants ultérieurs actuels

La liste actuelle des Sous-traitants ultérieurs figure à l'article 7.1 de la politique de confidentialité (disponible à l'adresse https://www.carsu.com/privacy). À la date du présent DPA, les Sous-traitants ultérieurs approuvés sont les suivants :

A5.3 Modification des Sous-traitants ultérieurs

Le Sous-traitant informe le Responsable du traitement, par courriel ou par notification dans la Plateforme, au moins 30 jours avant de faire appel à un nouveau Sous-traitant ultérieur ou d'en remplacer un existant. Les responsables du traitement titulaires d'un Abonnement payant peuvent s'abonner aux notifications automatiques de modification des sous-traitants ultérieurs depuis les paramètres de leur Compte.

La notification indique l'identité et la localisation du Sous-traitant ultérieur envisagé, la nature du traitement et les catégories de données à caractère personnel concernées. Le Responsable du traitement peut s'opposer à la modification dans un délai de 14 jours à compter de la réception de la notification, en exposant par écrit ses motifs tenant à la protection des données. Si le Responsable du traitement s'oppose et que les parties ne parviennent pas à résoudre l'objection dans un délai de 30 jours par une discussion de bonne foi, le Responsable du traitement peut résilier les Services concernés sans pénalité.

A5.4 Obligations des Sous-traitants ultérieurs

Le Sous-traitant veille à ce que chaque Sous-traitant ultérieur soit lié par des obligations de protection des données non moins strictes que celles énoncées dans le présent DPA, y compris, en particulier, l'apport de garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le Sous-traitant demeure pleinement responsable envers le Responsable du traitement de l'exécution des obligations de chaque Sous-traitant ultérieur.

A6. Transferts internationaux

Le Sous-traitant ne transfère pas de Données à caractère personnel du Responsable du traitement hors de l'EEE ou du Royaume-Uni, sauf si :

• le transfert est effectué vers un pays reconnu par la Commission européenne ou par le Secrétaire d'État britannique (selon le cas) comme assurant un niveau adéquat de protection des données ; ou
• des garanties appropriées sont en place, y compris les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914) ou, pour les transferts vers le Royaume-Uni, l'International Data Transfer Agreement (IDTA) britannique ou l'addendum britannique aux clauses contractuelles types de l'Union européenne, complétés par des mesures techniques supplémentaires lorsque l'analyse d'impact du transfert l'exige.

Lorsque des transferts sont effectués vers les États-Unis, le Sous-traitant se fonde sur les clauses contractuelles types (ou sur l'IDTA britannique le cas échéant), complétées par des mesures techniques incluant le chiffrement en transit (TLS 1.2 ou supérieur) et au repos (AES-256), des contrôles d'accès et des restrictions contractuelles relatives aux demandes d'accès des autorités publiques. Le Sous-traitant réalise et tient à jour une analyse d'impact du transfert pour chaque transfert vers un pays non couvert par une décision d'adéquation, et met cette analyse à la disposition du Responsable du traitement sur demande.

A7. Sécurité des données

Sans préjudice de l'article A3, le Sous-traitant met en œuvre et maintient les mesures de sécurité minimales suivantes :

• chiffrement des données à caractère personnel en transit (TLS 1.2 ou supérieur) et au repos (AES-256) ;
• contrôles d'accès fondés sur les rôles, selon le principe du moindre privilège ;
• authentification multifacteur pour tous les accès d'administration et à la plateforme ;
• évaluations régulières de vulnérabilité et tests d'intrusion ;
• journalisation et surveillance des accès aux Données à caractère personnel du Responsable du traitement ;
• procédures de réponse aux incidents assorties de circuits d'escalade définis ;
• formation du personnel à la protection des données et à la sécurité de l'information, dispensée au moins une fois par an ;
• procédures de continuité d'activité et de reprise après sinistre.

A8. Notification des violations de données

Le Sous-traitant informe le Responsable du traitement dans les meilleurs délais (et en tout état de cause dans un délai de 72 heures, conformément à l'article 33 du RGPD) dès qu'il a connaissance d'une violation de données à caractère personnel affectant les Données à caractère personnel du Responsable du traitement. Cette notification comporte :

• une description de la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ;
• le nom et les coordonnées du délégué à la protection des données du Sous-traitant ou d'un autre point de contact ;
• une description des conséquences probables de la violation ;
• une description des mesures prises ou envisagées pour remédier à la violation, y compris les mesures destinées à en atténuer les éventuels effets négatifs.

Le Sous-traitant coopère avec le Responsable du traitement et prend les mesures commercialement raisonnables pour l'assister dans l'investigation, l'atténuation et la remédiation de chaque violation.

A9. Droits des personnes concernées

Le Sous-traitant informe le Responsable du traitement sans délai (et en tout état de cause dans un délai de 5 jours ouvrés) s'il reçoit d'une personne concernée une demande d'exercice de l'un de ses droits au titre du droit de la protection des données à l'égard des Données à caractère personnel du Responsable du traitement. Le Sous-traitant ne répond pas directement à la personne concernée, sauf autorisation du Responsable du traitement ou obligation légale.

Le Sous-traitant apporte au Responsable du traitement une assistance raisonnable dans l'exécution de son obligation de donner suite aux demandes des personnes concernées, compte tenu de la nature du traitement et des informations à la disposition du Sous-traitant.

Effacement en présence de Biens en dépôt. Lorsqu'une personne concernée demande l'effacement de ses données et que le Responsable du traitement détient encore ses Biens en dépôt, le Sous-traitant anonymisera, sur instruction du Responsable du traitement, l'ensemble des Données à caractère personnel du Responsable du traitement relatives à cette personne concernée, à l'exception de l'enregistrement minimal nécessaire pour relier les Biens en dépôt à leur propriétaire jusqu'à leur restitution ou à leur élimination licite, après quoi cet enregistrement est également anonymisé.

A10. Droits d'audit

Le Sous-traitant met à la disposition du Responsable du traitement, sur demande raisonnable (et au plus une fois par année civile, sauf exigence d'une autorité de contrôle ou survenance d'une violation de données), toutes les informations raisonnablement nécessaires pour démontrer le respect du présent DPA.

Le Sous-traitant permet la réalisation d'audits, y compris d'inspections, par le Responsable du traitement ou par un auditeur indépendant qu'il a mandaté, et y contribue, sous réserve :

• d'un préavis écrit d'au moins 30 jours (sauf exigence d'une autorité de contrôle) ;
• d'une portée et d'une durée raisonnables ;
• d'obligations de confidentialité relatives aux informations propriétaires du Sous-traitant ;
• du respect par l'auditeur des politiques de sécurité applicables.

Si un audit révèle une insuffisance substantielle, le Sous-traitant y remédie dans un délai raisonnable convenu avec le Responsable du traitement, à ses propres frais.

A11. Suppression et restitution des données

À la résiliation ou à l'expiration du Contrat, le Sous-traitant, au choix du Responsable du traitement :

• restitue l'ensemble des Données à caractère personnel du Responsable du traitement dans un format structuré, couramment utilisé et lisible par machine (CSV ou JSON) dans un délai de 30 jours à compter de la demande ; ou
• supprime de manière sécurisée l'ensemble des Données à caractère personnel du Responsable du traitement dans un délai de 60 jours à compter de l'expiration de la fenêtre d'export de 12 mois postérieure à la résiliation prévue par le Contrat.

Le Sous-traitant certifie la suppression par écrit à la demande du Responsable du traitement. Le Sous-traitant ne peut conserver de Données à caractère personnel du Responsable du traitement que dans la mesure requise par le droit applicable, et informe le Responsable du traitement de toute obligation de conservation de ce type, y compris de sa base juridique et de la durée de conservation requise.

A12. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est soumise aux limitations de responsabilité prévues par le Contrat (article 14). Aucune stipulation du présent DPA n'exclut ni ne limite la responsabilité de l'une ou l'autre des parties au titre d'obligations découlant du droit de la protection des données qui ne peuvent être limitées contractuellement.

A13. Droit applicable

Le présent DPA est régi par le droit néerlandais, conformément au Contrat. Pour les questions relevant du droit de la protection des données, l'autorité de contrôle de l'établissement du Responsable du traitement (ou, lorsque le Responsable du traitement est établi hors de l'EEE, l'Autoriteit Persoonsgegevens néerlandaise pour Carsu B.V. et le Garante per la protezione dei dati personali italien pour Carsu Italia S.r.l.) est compétente.

A14. Primauté

En cas de contradiction entre le présent DPA et le Contrat, les stipulations du présent DPA prévalent en ce qui concerne le traitement des Données à caractère personnel du Responsable du traitement. Pour le surplus, le Contrat s'applique.

Le présent DPA prend effet à la date à laquelle le Responsable du traitement accepte le Contrat et demeure en vigueur aussi longtemps que le Sous-traitant traite des Données à caractère personnel du Responsable du traitement.